Política de privacidad

1. Responsable del tratamiento

El responsable es maindsolutions. Para cualquier cuestión sobre privacidad o para ejercer tus derechos escribe a legal@clarahub.app.

2. Qué datos tratamos

• Datos de cuenta: correo electrónico, nombre opcional, idioma, zona horaria y la fecha de tu consentimiento.
• Si contratas un plan de pago: tu nombre o razón social, la dirección de facturación, tu NIF si lo indicas, el plan, los pagos y las facturas. Los datos de tu tarjeta los recibe y los guarda Stripe; Clara nunca los ve.
• Conversaciones de WhatsApp que tú decides aportar (vinculación por código, chats exportados o copia local .crypt15): texto, notas de voz, imágenes y documentos de los chats marcados como trabajo, de uno o, en el plan Max, dos números.
• Si los conectas, las conversaciones de tus otros canales: los chats 1:1 que elijas en Telegram Business y las exportaciones de Telegram Desktop; el correo de tus buzones (Outlook, Gmail, iCloud u otro por IMAP, con acceso de solo lectura) o el que reenvíes a tu dirección de reenvío, sin boletines ni notificaciones automáticas, y el de remitentes nuevos solo cuando lo apruebas; y los SMS que reenvía tu teléfono o que importas de una copia. Para reconocer a una misma persona en varios canales, Clara guarda sus números, direcciones y usuarios cifrados y con un resumen criptográfico (HMAC), nunca en claro.
• Al vincular WhatsApp, la lista de tus chats recientes (los activos en los últimos 30 días, hasta 50): su nombre y la fecha de su última actividad, para que puedas marcar los personales antes de que Clara lea ningún mensaje. Los mensajes que WhatsApp envía junto con esa lista se descartan en memoria: no se guardan ni llegan a ningún modelo de IA.
• Información derivada: tareas, importes, acuerdos, citas, transcripciones, datos de tickets y un resumen del contacto (CRM).
• Lo que creas con Clara en el plan Max: tus preguntas a Clara y sus respuestas, los presupuestos y los datos de empresa que se imprimen en ellos, los resúmenes semanales y los dosieres de pruebas; y el correo de las personas que invitas a trabajar en tu cuenta.
• Datos técnicos mínimos: sesiones de acceso, llaves de acceso (passkeys), suscripciones de notificaciones, métricas agregadas y un registro de cada petición a la IA (para qué fue, el modelo, los tokens y su coste; nunca su contenido).

3. Escudo de privacidad

Antes de guardar nada, Clara descarta en memoria los mensajes de los contactos que marques como personales (familia, amigos). Esos mensajes nunca llegan a nuestra base de datos ni a ningún modelo de IA; solo guardamos el nombre del chat y el número de mensajes ignorados. Si marcas como personal un chat que ya se había analizado, eliminamos sus mensajes y todo lo derivado de ellos.

4. Finalidades y base jurídica

• Prestar el servicio (ejecución del contrato, art. 6.1.b RGPD): convertir tus conversaciones de trabajo en tareas, finanzas, acuerdos y citas.
• Tratar contenido de terceros presente en tus chats de trabajo, sobre la base de tu consentimiento y de tu interés legítimo en gestionar tu actividad profesional (art. 6.1.a y 6.1.f).
• Cobrar los planes de pago y emitir sus facturas (ejecución del contrato, art. 6.1.b) y conservarlas como exige la normativa fiscal y mercantil (obligación legal, art. 6.1.c).
• Seguridad, prevención de abusos y cumplimiento legal (art. 6.1.c y 6.1.f).

5. Inteligencia artificial con retención cero

Los análisis se realizan a través de Vercel AI Gateway o de Venice.ai (directamente o a través de Tokentide), siempre con retención cero de datos (ZDR) obligatoria: en Vercel AI Gateway solo intervienen proveedores de modelos con acuerdo de retención cero, y en Venice.ai solo sus modelos privados. Procesan cada petición y la descartan. Ningún dato se usa para entrenar modelos. Nunca vendemos ni cedemos tus datos.

6. Encargados del tratamiento y ubicación de los datos

• Vercel Inc. — alojamiento y funciones en la región fra1 (Fráncfort, Alemania).
• Neon Inc. — base de datos Postgres en aws-eu-central-1 (Fráncfort, Alemania).
• Proveedores de IA a través de Vercel AI Gateway, con retención cero y acuerdos de tratamiento de datos.
• Venice.ai — modelos de IA privados, con retención cero, como proveedor principal o alternativo.
• Tokentide (tokentide.app) — servicio independiente con sede en España que da acceso a esos mismos modelos privados de Venice.ai desde servidores en Estados Unidos: transmite cada petición a Venice.ai sin guardar su contenido ni identificarte ante Venice.ai, y solo conserva los datos técnicos de cada petición (modelo, tokens y coste).
• Stripe Payments Europe, Ltd. (Irlanda) — cobro de los planes de pago, facturas y gestión de la suscripción. Recibe tu nombre, tu correo, la dirección de facturación, tu NIF si lo indicas y los datos de tu tarjeta. Stripe también trata algunos datos como responsable independiente, para prevenir el fraude y cumplir sus obligaciones legales, según su propia política de privacidad.
• Proveedor de correo transaccional para los enlaces de acceso.
• Proveedor de correo que aloja los buzones de Clara (soporte, contacto y legal): guarda lo que nos escribes a esas direcciones y nuestras respuestas, para poder atenderte.
• Si vinculas tu calendario o lo añades con tu enlace privado (plan Max), Google, Microsoft, Apple o la app de calendario que elijas reciben, en tu propia cuenta de calendario y bajo sus condiciones, las citas que Clara encuentra (título, hora, lugar, si está confirmada y el nombre de pila del contacto), nunca el contenido de los chats. Puedes desvincularlo o cambiar el enlace cuando quieras.

Algunos de estos proveedores (Tokentide, Venice.ai, Stripe y los proveedores de IA) pueden tratar datos en Estados Unidos. Esas transferencias se basan en el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está certificado y, si no, en las cláusulas contractuales tipo de la Comisión Europea.

7. Seguridad

Cada usuario tiene su propia clave de cifrado (AES-256-GCM) protegida por una clave maestra. Los mensajes citados, las transcripciones, los textos de los mensajes y las claves de la sesión vinculada de WhatsApp se guardan cifrados. La base de datos aplica aislamiento por usuario (Row-Level Security). Clara se conecta a WhatsApp en modo estrictamente de solo lectura: nunca envía mensajes, nunca marca chats como leídos y nunca aparece en línea. Lo mismo en los demás canales: el bot de Telegram no tiene permisos para responder ni marcar como leído, los buzones se leen con permisos de solo lectura y los tokens y contraseñas de aplicación se guardan cifrados con tu clave. La clave de 64 dígitos de las copias .crypt15 se usa en tu dispositivo y nunca se guarda.

8. Conservación

• Notas de voz y archivos: por defecto se borran justo después de analizarse (ajuste «Solo la transcripción»); si lo eliges, se conservan cifrados 7 días, y los que respaldan un acuerdo, un cobro, una tarea o una cita, durante la ventana de prueba de tu plan (7 días en Free, 30 en Pro, 12 meses en Max).
• Tickets y facturas: se conservan cifrados para tu paquete de gestoría hasta que los borres o elimines tu cuenta.
• Mensajes, transcripciones y datos derivados: mientras mantengas tu cuenta.
• Facturas de tu suscripción a Clara y sus datos de facturación: el tiempo que exige la normativa fiscal y mercantil (en general, seis años), también después de borrar tu cuenta.
• Enlaces de acceso y sesiones caducadas: se eliminan automáticamente.
• Registro de uso de la IA: se conserva para nuestra contabilidad; al eliminar tu cuenta se desvincula de ella y queda solo como estadística anónima.
• Invitaciones a tu equipo: el enlace deja de funcionar a los 14 días; puedes retirar la invitación o el acceso desde Ajustes cuando quieras.

9. Tus derechos

Puedes acceder a tus datos, rectificarlos, oponerte a su tratamiento o limitarlo, y retirar tu consentimiento en cualquier momento. Desde Ajustes puedes descargar todos tus datos (portabilidad) con un clic y borrar tu cuenta de forma instantánea e irreversible (derecho al olvido), salvo las facturas de tu suscripción, que debemos conservar. También puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es) u otra autoridad de control de la UE.

10. Cookies

Solo usamos cookies esenciales: la cookie de sesión (HttpOnly, Secure), las cookies de idioma y la que recuerda si has plegado la barra lateral; si alguien te invita a su cuenta, la que recuerda en cuál trabajas; y una temporal mientras vinculas un calendario. No usamos cookies de analítica ni de publicidad, por lo que no mostramos banner de cookies.